Identificação de aplicativos

Historicamente, os firewalls têm usado o endereço IP e os números de porta como uma forma de aplicar políticas. Essa estratégia baseia-se na premissa de que os usuários se conectam à rede a partir de locais fixos e acessam recursos específicos usando números de porta específicos.

Hoje em dia, redes sem fio e dispositivos móveis exigem uma estratégia diferente. A maneira como os dispositivos se conectam à rede muda rapidamente. Um indivíduo pode se conectar à rede usando vários dispositivos ao mesmo tempo. Não é mais prático identificar um usuário, aplicativo ou dispositivo por um grupo de endereços IP alocados estaticamente e números de porta.

Este tópico inclui a seção a seguir:

• Identificação de aplicativos de próxima geração do Junos OS
• Benefícios da identificação de aplicativos
• Mapeamento de assinatura de aplicativos
• Sequência de combinações de identificação de aplicativos

Sequência de combinações de identificação de aplicativos

A Figura 1 mostra a sequência em que são aplicadas técnicas de mapeamento e como a aplicação é determinada.

Figura 1: Sequência de mapeamento

Na identificação da aplicação, cada pacote no fluxo passa pelo mecanismo de identificação do aplicativo para processamento até que a aplicação seja identificada. As vinculações de aplicativos são economizadas no cache do sistema de aplicativo (ASC) para acelerar o processo de identificação futuro.

As assinaturas de aplicativos identificam um aplicativo com base na análise de gramática de protocolo nos primeiros pacotes de uma sessão. Caso o mecanismo de identificação do aplicativo ainda não tenha identificado o aplicativo, ele passa os pacotes e espera por mais dados.

O módulo de identificação de aplicativos combina aplicativos para sessões de cliente para servidor e servidor para cliente.

Depois que a aplicação for determinada, AppSecure módulos de serviço podem ser configurados para monitorar e controlar o tráfego para rastreamento, priorização, controle de acesso, detecção e prevenção com base na ID do aplicativo do tráfego.

• Rastreamento de aplicativos (AppTrack)— Rastreia e informa aplicativos que passam pelo dispositivo.

• Intrusion Detection and Prevention (IDP)— Aplica os objetos de ataque apropriados a aplicativos em execução em portas não padrão. A identificação de aplicativos melhora IDP desempenho ao restringir o escopo de assinaturas de ataque para aplicativos sem decodificadores.

• Firewall de aplicativos (AppFW)— Implementa um firewall de aplicativos usando regras baseadas em aplicativos.

• AppQoS (Application Quality of Service, Qualidade de serviço de aplicativos) — Fornece priorização de qualidade de serviço com base na conscientização dos aplicativos.

• Roteamento avançado baseado em políticas (APBR)— Classifica a sessão com base em aplicativos e aplica as regras configuradas para reroutar o tráfego.

• AppQoE (Application Quality of Experience, Qualidade de experiência do aplicativo) — Monitora o desempenho dos aplicativos e, com base na pontuação, escolhe o melhor enlace possível para esse tráfego de aplicativo.

Um banco de dados de assinaturas predefinido está disponível no site Juniper Networks Security Engineering. Esse banco de dados inclui uma biblioteca de assinaturas de aplicativos. Consulte assinaturas de aplicativos para obter mais detalhes. Essas páginas de assinatura darão visibilidade da categoria de aplicativos, grupo, nível de risco, portas e assim por diante.

O pacote de assinaturas predefinido fornece critérios de identificação para assinaturas de aplicativos conhecidas e é atualizado periodicamente.

Sempre que novos aplicativos são adicionados, o pacote de protocolo é atualizado e gerado para todas as plataformas relevantes. Ele é empacotado junto com outros arquivos de assinatura de aplicativos. Este pacote estará disponível para download pelo site de download de segurança.

Um serviço de assinatura permite que você baixe regularmente as assinaturas mais recentes para cobertura atualizada sem ter que criar entradas para seu próprio uso.

A identificação do aplicativo é ativada por padrão e automaticamente ativada quando você configura Intrusion Detection and Prevention (IDP), AppFW, AppQoS ou AppTrack.

O cache do sistema de aplicativo (ASC) economiza o mapeamento entre um tipo de aplicativo e o endereço IP de destino correspondente, porta de destino, tipo de protocolo e serviço. Uma vez identificada uma aplicação, as informações são salvas no ASC para que apenas uma entrada correspondente seja necessária para identificar um aplicativo em execução em um sistema específico, agilizando o processo de identificação.

Por padrão, o ASC economiza as informações de mapeamento por 3.600 segundos. No entanto, você pode configurar o valor de tempo de transferência de cache usando a CLI.

Você pode usar o comando [edit services application-identification application-system-cache-timeout] para alterar o valor de tempo de transferência das entradas de cache do sistema de aplicativo. O valor do timeout pode ser configurado de 0 a 1.000.000 segundos. A sessão asc pode expirar após 1000.000 segundos.

As entradas do ASC expiram após o tempo de tempo de ASC configurado. As entradas de ASC não são atualizadas mesmo quando há hits em cache (entrada correspondente no ASC encontrada) durante o período de intervalo.

• Propósito
• Ação
• Significado

Os serviços de identificação de aplicativos fornecem informações estatísticas por sessão. Essas estatísticas fornecem aos clientes um perfil de uso de aplicativos. O recurso Onbox Application Identification Statistics adiciona estatísticas de nível de aplicativo ao AppSecure conjunto. As estatísticas de aplicativos permitem que um administrador acesse estatísticas acumuladas e estatísticas acumuladas em intervalos definidos pelo usuário.

Com esse recurso, o administrador pode limpar as estatísticas e configurar os valores de intervalo enquanto mantém bytes e estatísticas de contagem de sessões. Como a contagem de estatísticas ocorre no tempo de evento próximo da sessão, as contagens de byte e sessão não são atualizadas até o fim da sessão. Juniper Networks de segurança são compatíveis com um histórico de oito intervalos que um administrador pode usar para exibir as taxas de sessão e byte dos aplicativos. A partir do Junos OS 18.3R1, os dispositivos de segurança são compatíveis com um histórico de um intervalo para exibir as taxas de sessão de aplicativos e byte.

Se o grupo de aplicativos tiver suporte na configuração do Junos OS, o recurso Onbox Application Identification Statistic aceita estatísticas de correspondência na caixa de entrada por grupo. As estatísticas são mantidas apenas para grupos predefinidos.

Reinstalar um pacote de assinaturas de aplicativos não limpará as estatísticas dos aplicativos. Se a aplicação for desabilitada, não haverá tráfego para essa aplicação, mas a aplicação ainda é mantida nas estatísticas. Não importa se você está reinstalando um aplicativo predefinido, porque os aplicativos são monitorados de acordo com o tipo de aplicativo. Para estatísticas de grupo predefinidos, a reinstalação de um pacote de segurança não limpará as estatísticas. Entretanto, quaisquer alterações feitas nas adesões de grupos são atualizadas. Por exemplo, o junos:web pode ter 50 aplicativos na versão atual e 60 aplicativos após uma atualização. Aplicativos que são excluídos e grupos de aplicativos rebatizado são manuseados da mesma maneira que os aplicativos adicionados.

O módulo de identificação de aplicativos mantém um contadores de sessão de 64 bits para cada aplicativo em cada unidade de processamento de serviços (SPU). O contador incrementa quando uma sessão é identificada como uma aplicação específica. Outro conjunto de contadores de 64 bits agrega o total de bytes por aplicativo no SPU. Os contadores para aplicações não especificadas também são mantidos. As estatísticas de várias SPUs para sessões e bytes são agregadas no Mecanismo de Roteamento e apresentadas aos usuários.

As SPUs individuais têm temporizadores de intervalo para reverter estatísticas por interval vez. Para configurar o intervalo de coleta de estatísticas, use o set services application-identification statistics interval time comando. Sempre que Mecanismo de Roteamento consultas sobre o intervalo necessário, as estatísticas correspondentes são buscadas de cada SPU, agregadas no Mecanismo de Roteamento e apresentadas ao usuário.

Use o para clear services application-identification statistics limpar todas as estatísticas de aplicação, como grupos de aplicativos, intervalos, aplicativos e acumulativos.

Use o comando clear services application-identification counter para reconfigurar os contadores manualmente. Os contadores reajustam automaticamente quando um dispositivo é atualizado ou reinicializado, quando o fluxo é reinicializado ou quando há uma mudança no temporizador de intervalo.

Use o set services application-identification application-system-cache-timeout value para especificar o valor de tempo de saída em segundos para as entradas de cache do sistema de aplicativo.

A partir do Junos OS Release 15.1X49-D120, em todos os dispositivos da Série SRX, o intervalo de tempo padrão para coleta de estatísticas de identificação de aplicativos muda de 1 minuto para 1440 minutos.

A identificação de aplicativos suporta o tamanho maior do quadro jumbo de 9192 bytes. Embora os quadros jumbo sejam ativados por padrão, você pode ajustar o tamanho unidade de transmissão máxima (MTU) usando o comando [set interfaces]. A sobrecarga da CPU pode ser reduzida durante o processamento de quadros jumbo.

A partir das versões do Junos OS 15.1X49-D200 e 19.4R1, você tem a flexibilidade de configurar os limites de inspeção de identificação do aplicativo:.

• Inspection Limit for TCP and UDP Sessions

  Você pode definir o limite de byte e o limite de pacote para identificação de aplicativos (AppID) em um UDP ou em uma sessão TCP. A ID do aplicativo conclui a classificação com base no limite de inspeção configurado. Ao exceder o limite, o AppID termina a classificação de aplicativos.

  Caso a ID do aplicativo não conclua a classificação final dentro dos limites configurados e se um aplicativo pré-configurado estiver disponível, a AppID conclui a aplicação como o aplicativo pré-configurado. Caso contrário, o aplicativo é concluído como junos:DESCONHECIDO, desde que o cache appID global seja ativado. O cache AppID global é ativado por padrão.

  Para configurar o limite de byte e o limite de pacote, use as seguintes declarações de configuração da [edit] hierarquia:

  A Tabela 1 fornece o intervalo e o valor padrão para configurar o limite de byte e o limite de pacote para sessões de TCP e UDP.

  Tabela 1: Limite máximo de byte e limite de byte de pacote para sessões de TCP e UDP

  Sessão	Limite	Gama	Valor padrão
  TCP	Limite de byte	De 0 a 4294967295	6000 Para a versão do Junos OS 15.1X49-D200, o valor padrão é de 10.000.
  	Limite de pacotes	De 0 a 4294967295	Zero
  UDP	Limite de byte	De 0 a 4294967295	Zero
  	Limite de pacotes	De 0 a 4294967295	10 Para a versão do Junos OS 15.1X49-D200, o valor padrão é de 20.

  O limite de byte exclui o header IP e os comprimentos do cabeçado TCP/UDP.

  Se você definir as opções e as byte-limit packet-limit opções, o AppID inspeciona a sessão até que ambos os limites sejam atingidos.

  Você pode desativar o limite de inspeção de TCP ou UDP configurando byte-limit packet-limit os valores correspondentes e zero.

• Global Offload Byte Limit (Other Sessions)

  Você pode definir o limite de byte para o AppID concluir a classificação e identificar o aplicativo em uma sessão. Ao exceder o limite, a AppID termina a classificação dos aplicativos e toma uma das seguintes decisões:

  • Se um aplicativo pré-match estiver disponível, a AppID conclui a classificação dos aplicativos como o aplicativo pré-matched nos seguintes casos:

    • Quando a ID do aplicativo não conclui a classificação final dentro do limite de byte configurado

    • Quando a sessão não for descarregada devido ao comportamento de tunelamento de algumas aplicações

  • Caso um aplicativo pré-match não estiver disponível, a AppID conclui o aplicativo como junos:DESCONHECIDO, desde que o cache appID global seja ativado. O cache AppID global é ativado por padrão. Consulte Como ativar ou desativar o cache do sistema de aplicativos para serviços de aplicativo.

  Para configurar o limite de byte, use a seguinte instrução de configuração da [edit] hierarquia:

  O valor padrão da opção global-offload-byte-limit é de 10000.

  Você pode desativar o limite de byte de descarregamento global configurando o global-offload-byte-limit valor como zero.

  O limite de byte exclui o header IP e os comprimentos do cabeçado TCP/UDP.

• Habilitar a opção de modo de desempenho
• Suporte de identificação de aplicativos para aplicativos hospedados na Rede de Entrega de Conteúdo (CDN)
• Limite máximo de memória para DPI

[edit] 
user@host# user@hots# set service application-identification enable-cdn-application-detection 

Você pode usar o recurso de captura de pacotes de aplicativos desconhecidos para coletar mais detalhes sobre um aplicativo desconhecido em seu dispositivo de segurança. Tráfego de aplicativos desconhecido é o tráfego que não combina com uma assinatura de aplicativo.

Depois de configurar opções de captura de pacotes em seu dispositivo de segurança, o tráfego de aplicativos desconhecido é recolhido e armazenado no dispositivo em um arquivo de captura de pacotes (.pcap). Você pode usar a captura de pacotes de um aplicativo desconhecido para definir uma nova assinatura de aplicativo personalizada. Você pode usar essa assinatura personalizada de aplicativos em uma política de segurança para gerenciar o tráfego de aplicativos de maneira mais eficiente.

Você pode enviar o arquivo .pcap para Juniper Networks para análise nos casos em que o tráfego seja classificado incorretamente ou para solicitar a criação de uma assinatura de aplicativo.